Windows服务器站点搭建：17年经验权限配置法

　　去年二月那波站点迁移，我原以为照着17年的权限配置表直接套就行——结果被运维群里的老王骂了三天。他叼着烟在视频里拍桌子："你他妈用NTFS权限配Web目录？现在谁还用NTFS啊！"饮水机在旁边咕嘟咕嘟响，我盯着屏幕上的403错误码，鼠标垫卷边的地方都快被我抠穿了。

　　这事儿得从权限配置的"优胜劣汰"说起。2006年我刚入行那会儿，Windows服务器权限真就是靠NTFS硬刚——Everyone组删掉，Users组只给读，Administrators组全权——那时候连IIS都带ASP漏洞，权限不卡死，第二天就被挂马。后来到了2012年，IIS7.5出来，开始用应用程序池身份隔离，权限配置突然就变成玄学了——你给ApplicationPoolIdentity组赋权？还是继续用Network Service？或者学某些二愣子直接用本地系统账户？

　　仓库卷帘门哗啦一声响，隔壁物流组在搬货。我翻出2015年写的权限配置表，发现里面居然还有"Users组添加Modify权限"这种操作——那时候为了兼容某些老系统，不得不放宽权限，结果半年后被内部员工删库跑路。现在看这行字，后背都发凉。所以后来我定了个死规矩：Web目录只给IIS_IUSRS组读+执行，数据库连接字符串用加密配置，日志目录单独隔离——这套配置从2018年用到去年二月，没出过幺蛾子。

　　可去年二月那波迁移，问题就出在"没出过幺蛾子"上。客户非要上.NET Core 6.0，而.NET Core的Kestrel服务默认用本地系统账户跑——我原以为照旧配IIS_IUSRS就行，结果部署完502错误满天飞。老王在群里甩了张截图："看清楚，Kestrel要的是NETWORK SERVICE的端口访问权限！"打包台上横着的那卷胶带被风吹得滚了两圈，我盯着屏幕上的Process Monitor日志，突然想起2017年那次翻车——当时也是权限没配对，导致WCF服务卡在身份验证环节，整整三天没找出问题，最后发现是服务账户没加"作为服务登录"的权限。

　　所以现在我的权限配置表分三层：第一层是IIS默认配置（IIS_IUSRS读+执行），第二层是.NET Core/Java应用的特殊配置（NETWORK SERVICE或ApplicationPoolIdentity的端口/注册表权限），第三层是数据库连接池的独立账户（最小权限原则，只给db_datareader/db_datawriter）。这套配置去年二月刚上线时，客户的技术总监还质疑："为什么不用Active Directory组？这样管理多方便？"我直接甩了他2019年某银行的案例——那哥们用AD组配权限，结果离职员工没及时从组里移除，被远程删了一整套订单系统，赔了270万。

　　风扇把快递单吹到地上，我弯腰去捡时，突然想到个反常识的结论：权限配置的"优胜劣汰"不是技术迭代，是血泪教训堆出来的。比如2014年大家都在用FTP上传文件，权限得给IUSR_机器名写权限；后来改用WebDeploy，权限直接砍到只读；现在云服务器都用CI/CD管道，Web目录权限直接锁死，连运维账号都只能通过ARM模板修改——这不是技术进步，是被挂马、删库、数据泄露逼出来的生存法则。

　　跟工厂的老板争执过这事儿。他非说"权限太严会影响开发效率"，我直接调出2020年某电商的监控录像：开发用管理员账号跑测试脚本，结果把生产库的订单状态全改成了"已发货"，导致客户集体投诉，赔了150万。老板看完沉默了五分钟，最后说："按你的来，但得给开发留个紧急通道。"我于是加了条：紧急通道用Just-In-Time权限，每次申请有效期2小时，超时自动回收——这套配置去年二月上线后，开发组骂了半个月，但三个月后，他们自己主动把测试环境的权限也锁死了。

　　跑题说个汇率的事。去年二月美元汇率涨到6.8时，客户非要把服务器迁到香港——说内地服务器跨境访问慢。我劝他："权限配置得重做，香港服务器得用中文路径，IIS的ISAPI筛选器得重新编译..."他不听，结果迁移完第一周，日志里全是"400 Bad Request"，查了半天发现是路径编码问题——中文目录名在HTTP请求里被转义成了乱码。最后花了两天时间改配置，成本比留内地服务器还高15%。所以有时候"优胜劣汰"不是技术选型，是别跟趋势硬刚。

　　现在我的权限配置表里，最核心的就三条：1. 最小权限原则（只给必要的权限）；2. 隔离原则（Web/数据库/日志分目录，分账户）；3. 审计原则（所有权限变更必须留日志）。去年二月那波迁移，虽然被Kestrel权限卡了三天，但最后上线后，客户的安全审计得了98分——比他们之前用AD组配权限的82分高多了。老王在群里发了个点赞的表情："这波算你赢。"

文章配图，仅供参考

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!